Agen AI Cipher Temukan 4 Celah EPICS dalam 3 Jam 49 Menit
Agen keamanan otonom Cipher buatan Causal Security menemukan empat celah memori di EPICS Base, perangkat lunak open source pengendali akselerator partikel dan reaktor fusi. Badan keamanan siber AS, CISA, merilis advisori ICSA-26-300-01 pada 27 Oktober 2026 dengan skor tertinggi CVSS 9,8. Temuan ini menunjukkan agen AI kini bisa membongkar sistem kendali industri yang selama puluhan tahun dianggap aman karena jarang dipahami orang luar.
Empat Celah EPICS Base Ditemukan dalam 3 Jam 49 Menit
Cipher, sistem keamanan otonom milik Causal Security, menemukan empat celah memori di EPICS Base dalam 3 jam 49 menit. Cipher mulai dari basis kode yang belum pernah dilihatnya, tanpa arahan manusia pada tahap investigasi awal. Keempat celah itu sudah ditambal di EPICS Base versi 7.0.11 yang dirilis 27 Oktober 2026.
Menurut tulisan riset Causal Security (27 Oktober 2026), satu-satunya campur tangan manusia adalah satu instruksi yang mengizinkan uji eksploitasi lebih dalam di sandbox terisolasi. Tiga celah berada di penanganan pesan Channel Access di sisi server, sedangkan celah keempat ada di proses deserialisasi pvAccess. Keduanya adalah protokol jaringan yang dipakai EPICS untuk menghubungkan operator dengan perangkat fisik.
"Penyelidikan awal tidak memerlukan campur tangan manusia, lalu diikuti satu instruksi yang mengizinkan uji eksploitasi lebih dalam di lingkungan yang aman," kata Shubham Raj, salah satu pendiri Causal Security, kepada The Register. Analisis Cipher atas riwayat kode menunjukkan umur celah tersebut antara sekitar 14,5 dan 31,5 tahun, menurut laporan SecurityWeek pada 28 Oktober 2026.
Causal Security memberi tahu pengelola EPICS pada 9 Juni 2026. Tambalan kemudian digabungkan ke kode sumber pada Juli dan Agustus 2026, sebelum CISA dan Causal Security mengumumkannya ke publik secara bersamaan pada akhir Oktober.
Seberapa Berbahaya Celah EPICS Base Ini?
Celah paling berbahaya, CVE-2026-114595, mendapat skor CVSS 9,8 atau kritis dari CISA. Celah integer overflow ini membuat server mengalokasikan memori terlalu kecil saat memproses permintaan jaringan, sehingga data kiriman penyerang bisa menimpa memori lain. Akibatnya bisa berupa proses mati, kebocoran data, hingga potensi eksekusi kode jarak jauh.
Tiga celah lain berstatus tinggi. CVE-2026-114596 (CVSS 8,2) memicu penulisan di luar batas memori, CVE-2026-114597 (CVSS 7,5) memicu pembacaan di luar batas, dan CVE-2026-114598 (CVSS 7,5) adalah type confusion di pvAccess. Semua versi EPICS Base 7.0.10 dan sebelumnya terdampak, menurut advisori CISA ICSA-26-300-01 (2026).
"Keempatnya bisa dipicu tanpa autentikasi atau interaksi pengguna," kata Raj kepada SecurityWeek. Penyerang cukup memiliki akses jaringan ke layanan EPICS, biasanya lewat port TCP 5064 untuk Channel Access atau 5075 untuk pvAccess. Akses itu bisa didapat dari layanan yang terekspos ke internet maupun dari jaringan internal fasilitas yang tidak tersegmentasi dengan baik.
Causal Security menegaskan Cipher hanya membuktikan penulisan heap di luar batas dan crash proses memakai AddressSanitizer, belum membuat eksploit eksekusi kode yang berfungsi. CISA juga menyatakan belum menerima laporan eksploitasi publik atas keempat celah ini saat advisori dirilis.
Akselerator Partikel dan Reaktor Fusi Ikut Terancam
EPICS adalah kerangka open source yang dikembangkan Los Alamos National Laboratory dan Argonne National Laboratory untuk membangun sistem SCADA di fasilitas riset besar. Menurut The Register (2026), EPICS dipakai di sekitar 90 proyek dan fasilitas ilmiah, universitas, dan industri di seluruh dunia, termasuk sistem kendali reaktor fusi ITER.
Fasilitas lain yang bergantung pada EPICS adalah Advanced Photon Source di Argonne National Laboratory. CISA mengkategorikan sektor terdampak sebagai manufaktur kritis dengan sebaran di seluruh dunia. Artinya, laboratorium, kampus, dan pabrik yang memakai EPICS Base versi lama perlu segera memeriksa versi yang mereka jalankan.
Raj menggambarkan risikonya secara operasional. "Bayangkan sebuah akselerator partikel di tengah eksperimen yang mahal. Penyerang berpotensi mematikan sebuah controller, memutus pengukuran atau fungsi kendali penting, dan memaksa operator menghentikan eksperimen," katanya kepada The Register. Kerugiannya bisa berupa hasil eksperimen yang hilang, waktu henti panjang, dan biaya pemulihan yang besar.
Ini bukan temuan pertama Cipher di sektor kritis. Awal 2026, temuan Cipher di sistem jaringan listrik Amerika Utara dan Eropa mendorong CISA menerbitkan advisori pada 8 Oktober 2026. Causal Security juga melaporkan celah di openPDC, openHistorian, dan tumpukan jaringan FreeRTOS-Plus-TCP.
Dampaknya bagi Keamanan Sistem Kendali Industri di Indonesia
Temuan EPICS menunjukkan sistem kendali industri tidak lagi bisa mengandalkan ketidaktahuan penyerang. Agen AI bisa mempelajari protokol asing dalam hitungan jam, sehingga keahlian khusus teknologi operasional bukan lagi penghalang. Pengelola sistem SCADA perlu menambal lebih cepat, membatasi akses jaringan, dan menguji sistemnya sendiri sebelum penyerang melakukannya.
Raj menilai penyerang tidak perlu memahami fisika akselerator partikel untuk mengganggu perangkat lunak yang mengendalikannya. "Yang berubah adalah penyerang mungkin tidak lagi butuh keahlian khusus bertahun-tahun hanya untuk menemukan kelemahan ini," ujarnya. Bagi pembela, alat serupa juga bisa dipakai untuk mengaudit kode lama yang selama ini jarang disentuh.
Langkah teknis yang direkomendasikan Causal Security cukup jelas: perbarui ke EPICS Base 7.0.11 atau minta tambalan dari vendor, lalu batasi akses ke layanan IOC dari segmen jaringan yang tidak tepercaya. Aturan akses dan segmentasi jaringan tetap perlu, tetapi menurut Causal Security keduanya tidak menggantikan tambalan.
Bagi perusahaan dan lembaga di Indonesia, sistem kendali seperti ini masuk kategori infrastruktur informasi vital yang diatur Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital. Perpres itu mencakup sistem elektronik berbasis teknologi informasi maupun teknologi operasional di sektor strategis. Operator energi, manufaktur, dan fasilitas riset di Indonesia sebaiknya mulai memakai audit berbasis AI untuk memeriksa sistem SCADA lama sebelum celahnya ditemukan pihak lain.
(Burung Hantu Infratek / CISA / Causal Security / The Register / SecurityWeek)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan Siber AI
⚡ CEO Cloudflare Peringatkan Gelombang Celah Temuan AI Selama Dua Tahun
🛡️ Celah PHP2Shell Temuan AI Ancam 70 Persen Situs Web; PHP Rilis Tambalan
🤖 Codex Security OpenAI Temukan Celah RCE Brotli di Node.js; Patch Dirilis
🧠 AI Rahasia Anthropic Bongkar 10.000 Celah Keamanan Dunia
Sumber dan Referensi
[1] ICS Advisory ICSA-26-300-01: EPICS Base - CISA
[4] Long-Hidden Flaws Patched in EPICS Research Facility Control Software - SecurityWeek
[5] Release 7.0.11 - epics-base/epics-base GitHub
[6] Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital - JDIH BPK